外设管控失败的原因几乎都一样：制度一刀切，业务没出口，于是大家开始绕。真正有效的做法是承认业务需要拷文件，然后把这件事放进可控、可查的通道里。
一、三类外设，三种风险
- 存储类：U 盘、移动硬盘、手机——带走数据，最常见
- 输入类：键盘、鼠标——可能被伪装成键盘注入指令
- 网络类：随身 WiFi、蓝牙、4G 网卡——直接绕开内网边界
三类风险的应对方式不同：存储类靠策略与审计，输入类靠白名单与物理管理，网络类靠准入与资产登记。写制度时分开写，执行才不会含糊。
二、别一禁了之：分层策略
| 对象 | 策略 | 例外出口 |
|---|---|---|
| 普通办公电脑 | 存储类设备只读 | 申请临时写入权限 |
| 财务、研发终端 | 存储类设备禁用 | 走文件交换区 |
| 公共与会议电脑 | 全部禁用 | 走共享盘或网盘 |
| 外来人员设备 | 禁止接入内网 | 访客网络 |
只读是个好起点
只读策略能挡住"用 U 盘往外拷"这个最主要的风险，同时对"要用 U 盘里的资料"这类正当需求影响很小。落地阻力小，执行率自然高。
三、白名单怎么管
白名单必须有生命周期，否则会变成新的乱源。
- 申请：说明用途、设备编号、使用期限
- 审批：部门负责人 + IT 双向确认
- 登记：进台账，绑定设备与责任人
- 到期回收并复核：只加不减的白名单等于没有白名单
四、审计留痕留什么
- 设备接入记录：谁、哪台机、什么时候
- 文件操作记录：方向、大小、数量级（有条件的留存文件名校验值）
- 策略变更记录：谁改了策略、为什么改
- 告警与处置记录：触发规则后的处理过程
留痕的目的不只是追溯，更是让制度有反馈：如果某条规则每天被触发几十次，那说明流程设计有问题，该改的是流程。
五、给业务留出口，制度才活得下去
建议设一个集中文件交换区：上传登记、下载留痕、定期清理。它的存在让"我要传个文件"有正当路径，员工不需要再想办法绕开管控。
做法上可以很轻：一台专用终端 + 一个受控目录 + 一张登记表。重点是它可查、可追溯，而不是技术有多复杂。
#外设管控#数据防泄漏#终端安全#制度落地
